Lidl-datalek: hackers stalen gegevens van webshopklanten via externe IT-leverancier

Wat is er gebeurd?

In de eerste week van juli 2026 deed Lidl bij klanten melding van een datalek. Het lek vond niet plaats in de eigen systemen van de supermarktketen, maar bij een externe IT-dienstverlener die door Lidl wordt ingeschakeld voor de online winkel . Onbevoegden wisten kortstondig toegang te krijgen tot een bestand met klantgegevens van webshopgebruikers in Duitsland, België en Nederland.

Welke gegevens zijn gestolen?

De gestolen informatie omvat :

• Voor- en achternaam
• E-mailadressen
• Telefoonnummers
• Geboortedata
• Klantnummers / klant-ID's

Welke gegevens zijn veilig gebleven?

Lidl benadrukt dat de volgende gevoelige categorieën niet zijn buitgemaakt :

• Wachtwoorden of inloggegevens
• Huis- of postadressen
• Betaalpasgegevens of bankrekeninginformatie

Hoe reageerde Lidl?

• Klanten geïnformeerd: Op 10 juli 2026 ontvingen getroffen klanten een e-mail met het onderwerp "Wichtige Information zur Sicherheit Deiner Daten bei Lidl" (Belangrijke informatie over de beveiliging van jouw gegevens bij Lidl) .
• Autoriteiten ingelicht: Lidl gaf de relevante toezichthouders een seintje, waaronder de Nederlandse Autoriteit Persoonsgegevens .
• Veiligheidsadvies: De winkelketen waarschuwt klanten om alert te zijn op phishingmails en mogelijke identiteitsfraude. De combinatie van namen, e-mails, telefoonnummers en geboortedata kan namelijk worden misbruikt voor gerichte oplichting .
• Onderzoek: Lidl onderzoekt het incident, maar heeft tot nu toe geen naam genoemd van de getroffen externe dienstverlener of het totale aantal gedupeerden .

Groter plaatje: het risico van externe IT-leveranciers

Dit lek is een klassiek voorbeeld van een steeds vaker voorkomend probleem: cyberrisico’s via toeleveranciers (supply chain). De systemen van Lidl zelf bleken niet direct het doelwit – de aanval was gericht op een externe dienstverlener die namens Lidl klantgegevens verwerkt . Dergelijke incidenten spelen vaker; eerder in 2026 raakte bijvoorbeeld de Europese Commissie via een externe partij gecompromitteerd .

Naarmate bedrijven meer digitale taken uitbesteden, wordt elke externe partner een extra aanvalsoppervlak voor cybercriminelen om grotere organisaties te bereiken. Dit geval laat zien dat risicobeoordeling van leveranciers, continue monitoring en duidelijke contractuele afspraken over gegevensbeveiliging onmisbaar zijn. Ook maakt het duidelijk dat toezichthouders onder de AVG de verantwoordelijke partij (in dit geval Lidl) aanspreken, ongeacht waar het lek precies plaatsvond.